Аттестация объектов информатизации - Форум по вопросам информационной безопасности

Подскажите пожалуйста! Какие необходимы лицензии для выполнения работ по аттестации объектов информатизации? и для выполнения работ по специсследованиям технических средств и автоматизированных систем? если можно напишите раздельно какие лицензии для этих видов работ нужны!!!

Допустим, организация аттестована по требованиям безопасности АС класса 1Г.
В АСЗИ есть аттестованная подсеть 172.16.хх.хх, без прямого доступа в интернет, только локальная сеть. И есть подсеть 192.168.хх.хх для разработчиков с прямым доступом в интернет. В аттестованной подсети развернута виртуализация (VDI), и все бы ничего, если бы не одно но...
У разработчиков есть права администратора, и они установив ПО Horizon и прописав сервер виртуализации проваливаются в свой виртуальный профиль в АСЗИ.
Вопрос в том, чем регламентирован запрет на доступ в АСЗИ из вне?

>"Допустим, организация аттестована по требованиям безопасности АС класса 1Г."
по требованиям безопасности аттестуются автоматизированные системы, а не организация.... (см. определение - автоматизированная система)

>"В АСЗИ есть аттестованная подсеть 172.16.хх.хх, без прямого доступа в интернет, только локальная сеть. И есть подсеть 192.168.хх.хх для разработчиков с прямым доступом в интернет..."
Аттестованная сеть должна быть ограничена межсетевым экраном...

>"В аттестованной подсети развернута виртуализация (VDI), и все бы ничего, если бы не одно но...
У разработчиков есть права администратора, и они установив ПО Horizon и прописав сервер виртуализации проваливаются в свой виртуальный профиль в АСЗИ."

На межсетевом экране должны быть определены правила разграничения доступа...

to nekto
Про обязательность МЭ для аттестованной сети можно поспорить. Но, разумеется, применительно к конкретике, а не к коню в вакууме. Так что не буду :)

to 777Jonson777
В защите чистой КОНФИ (а по-другому быть не может, раз АС и 1Г) все всегда решается владельцем КОНФИ. На основании Модели угроз или иного явно учтенного решения/вывода. А это означает, что весь вопрос упирается в здравый смысл и какую-никакую оценку рисков...
Так-то прямой ответ прост: запрет может быть определен явно в положениях выданного Аттестата соответствия (Предписания на эксплуатацию). Еще неплохо было бы связаться с лицензиатом, проводившем АИ, и уточнить у него. Особенно, если такой канал не рассматривался при аттестации в принципе (по глупости ли, из корысти ли)...

to oko

"...Про обязательность МЭ для аттестованной сети можно поспорить...."
Так по условию написано, что есть аттестованная подсеть и еще какая-то.... Они должны быть разделены МЭ или аттестовываться должна вся сеть....

У вопрошающего проблема, есть субъект создавший подключение снаружи в защищаемую сеть...
Так вот, это может нарушать систему разграничения доступа, если подобный доступ должен быть запрещен...
Или могут нарушаться требования к среде функционирования, поскольку задействованы непредусмотренные технические средства и ПО...

Или это очередной сферический конь, появившийся в теме ДЗ/курсовой/диплома. Слишком абстрактно